GKE Kubernetes 1.9.4集群LibCluster节点连接权限报错求助

嘿，这个问题我太熟了——本质就是你的default服务账号没有足够权限去访问Kubernetes的Endpoints资源，LibCluster要靠查询Endpoints来发现节点，自然就触发了这个权限报错。下面给你一步步解决的方案：

1. 定义最小权限的Role #

先创建一个YAML文件（比如libcluster-endpoints-reader.yaml），给LibCluster需要的权限做最小范围的定义：

apiVersion: rbac.authorization.k8s.io/v1
kind: Role
metadata:
  name: libcluster-endpoints-reader
  namespace: staging
rules:
- apiGroups: [""]
  resources: ["endpoints"]
  verbs: ["list", "watch"]

这里只给了list和watch权限，刚好满足LibCluster查询节点变化的需求，符合K8s的最小权限原则。

2. 绑定Role到默认服务账号 #

再写一个RoleBinding文件（比如libcluster-sa-binding.yaml），把上面的权限绑定到staging命名空间的默认服务账号上：

apiVersion: rbac.authorization.k8s.io/v1
kind: RoleBinding
metadata:
  name: libcluster-bind-default-sa
  namespace: staging
subjects:
- kind: ServiceAccount
  name: default
  namespace: staging
roleRef:
  kind: Role
  name: libcluster-endpoints-reader
  apiGroup: rbac.authorization.k8s.io

3. 应用配置到GKE集群 #

执行下面的命令把配置推送到你的集群：

kubectl apply -f libcluster-endpoints-reader.yaml
kubectl apply -f libcluster-sa-binding.yaml

4. 重启Pod让权限生效 #

服务账号的权限变更需要Pod重启才能加载，所以重启你的两个Pod：

kubectl rollout restart deployment/gate -n staging
kubectl rollout restart deployment/coolapp -n staging

额外核对：LibCluster配置 #

最后再检查下你的config/prod.exs里的LibCluster配置，确保Kubernetes策略的参数和集群环境匹配：

config :libcluster,
  topologies: [
    k8s: [
      strategy: Elixir.Cluster.Strategy.Kubernetes,
      config: [
        namespace: "staging",
        service_name: "gate", # 替换成你的服务名
        selector: "app=gate", # 替换成匹配你Pod的标签
        polling_interval: 10_000
      ]
    ]
  ]

做完这些操作，LibCluster应该就能正常查询Endpoints，完成Elixir节点的连接了。

内容的提问来源于stack exchange，提问作者dina